参考资料

• NGINX HTTPS
• MDN HSTS
• MDN CSP

Nginx（02） - HTTPS、证书与安全响应头

读完后，你应能完成以下任务：

• 绘制“Nginx（02） - HTTPS、证书与安全响应头 / TLS 握手、证书链与主机名校验”的关键对象与数据流，解释“客户端用 SNI 选择证书，验证证书有效期、主机名和从站点证书到可信根的完整链。”，并用源码位置、日志或 Trace 标注证据。
• 为“Nginx（02） - HTTPS、证书与安全响应头 / 协议、密码套件与自动续期”设计正常与异常输入，验证“续期任务要在到期前运行，先校验证书与私钥匹配、执行 nginx -t，再原子替换和 reload；”，输出首个偏差位置与回归测试结果。
• 实现“Nginx（02） - HTTPS、证书与安全响应头 / HSTS、CSP 与代理安全边界”的最小代码或配置，检验“HSTS 会让浏览器在有效期内强制 HTTPS，includeSubDomains 或 preload 上线前必须确认所有子域支持 TLS。”，输出命令、结果与 Diff，并说明不适用边界。

一、先建立全局：HTTPS、证书与安全响应头 是什么？

理解“HTTPS、证书与安全响应头”，先要把标题中的对象放进同一条处理链：它接收什么输入，经过哪些状态变化，最终用什么证据判断结果。下表不另造概念，只把作者正文已经解释的章节按依赖顺序连起来。

“HTTPS、证书与安全响应头”的第一个核心判断是：客户端用 SNI 选择证书，验证证书有效期、主机名和从站点证书到可信根的完整链。。先弄清这个判断中的对象和输入输出，后面的实现、故障和验收才有共同语境。

顺序	章节	读完本节应抓住的结论
1	TLS 握手、证书链与主机名校验	客户端用 SNI 选择证书，验证证书有效期、主机名和从站点证书到可信根的完整链。
2	协议、密码套件与自动续期	先校验证书与私钥匹配、执行 nginx -t，
3	HSTS、CSP 与代理安全边界	includeSubDomains 或 preload 上线前必须确认所有子域支持 TLS。
4	TLS 与响应头配置	CSP 报告模式收集真实依赖后再切强制，避免一次配置阻断生产资源。
5	只部署叶子证书会让部分客户端握手失败	只部署叶子证书会让部分客户端握手失败；
6	私钥必须限制权限并支持轮换	私钥必须限制权限并支持轮换，证书更新后还要 reload 才会进入新 worker。

1.1 核心对象之间怎样衔接

flowchart LR
  S1["TLS 握手、证书链与主机名校验"] --> S2
  S2["协议、密码套件与自动续期"] --> S3
  S3["HSTS、CSP 与代理安全边界"] --> S4
  S4["TLS 与响应头配置"] --> S5
  S5["只部署叶子证书会让部分客户端握手失败"]

这张图只表达本文的讲解顺序，不替代正文机制。判断“HTTPS、证书与安全响应头”是否真正掌握，需要能从最后一个结果沿图回到前面每个章节的输入、状态变化和证据。

1.2 再看失败：问题最早会出现在哪一步？

在“HTTPS、证书与安全响应头”的对象和顺序已经明确后，再看可观察的失败：依赖漂移、参数未校验、异常被吞、事务未回滚或状态残留。定位时不从最后一条错误猜原因，而是沿上图找第一个偏离正文结论的节点。

二、TLS 握手、证书链与主机名校验

客户端用 SNI 选择证书，验证证书有效期、主机名和从站点证书到可信根的完整链。 只部署叶子证书会让部分客户端握手失败； 私钥必须限制权限并支持轮换，证书更新后还要 reload 才会进入新 worker。

三、协议、密码套件与自动续期

现代入口通常只启用 TLS 1.2/1.3，证书由 ACME 或集中密钥平台签发。 续期任务要在到期前运行， 先校验证书与私钥匹配、执行 nginx -t， 再原子替换和 reload； 不能等到过期告警才处理。

四、HSTS、CSP 与代理安全边界

HSTS 会让浏览器在有效期内强制 HTTPS， includeSubDomains 或 preload 上线前必须确认所有子域支持 TLS。 CSP、X-Content-Type-Options、Referrer-Policy 等响应头要根据应用资源逐步收紧， 并验证 Nginx 到上游的 X-Forwarded-Proto。

五、TLS 与响应头配置

配置使用完整证书链，并先采用可观测的 CSP 报告模式。

server {
    listen 443 ssl http2;
    server_name app.example.com;
    ssl_certificate /etc/nginx/tls/fullchain.pem;
    ssl_certificate_key /etc/nginx/tls/privkey.pem;
    ssl_protocols TLSv1.2 TLSv1.3;
    add_header Strict-Transport-Security 'max-age=86400' always;
    add_header X-Content-Type-Options nosniff always;
    add_header Referrer-Policy strict-origin-when-cross-origin always;
    add_header Content-Security-Policy-Report-Only "default-src 'self'" always;
}

HSTS 先使用短 max-age 灰度，确认无回退需求再延长。 CSP 报告模式收集真实依赖后再切强制，避免一次配置阻断生产资源。

六、故障边界与验证

现象	常见根因	验证与处理
部分客户端证书不可信	未部署中间证书或链顺序错误	用 openssl s_client 验证服务端发送的完整链
续期成功但仍展示旧证书	Nginx 未 reload 或流量仍到旧实例	检查各实例证书序列号并执行配置测试后平滑 reload
启用 CSP 后页面资源失效	策略未覆盖真实脚本、字体或 API 来源	先用 Report-Only 收集违规，再按最小来源白名单收紧

七、动手验证：先跑通 HTTPS、证书与安全响应头，再改变一个变量

前面的章节已经建立问题、概念和机制。现在把“HTTPS、证书与安全响应头”放进同一套基线中运行；本节不再引入新术语，只验证前文结论能否被复现。

7.1 基线与候选只允许一个变量不同

验证“HTTPS、证书与安全响应头”时，先固定语言与依赖版本、请求参数、数据库初始状态和环境配置。候选方案只能改变本次要验证的变量；如果同时更换数据、依赖和配置，即使结果改善，也不能知道是哪一项产生作用。

执行“HTTPS、证书与安全响应头”时，动作是：运行最小程序或接口测试，覆盖正常输入、边界值和异常传播。原始结果不能只保留截图或汇总分数，必须同步保存：退出码、响应状态、断言、数据库前后状态、异常栈和测试报告，使下一次复查可以在同一输入上重放。

实验要素	本文要求
固定条件	固定语言与依赖版本、请求参数、数据库初始状态和环境配置
唯一变量	本次候选方案与基线之间的一项明确差异
原始证据	退出码、响应状态、断言、数据库前后状态、异常栈和测试报告
通过阈值	输出满足契约，异常不会留下部分写入，结果可在干净环境复现
立即停止	依赖漂移、参数未校验、异常被吞、事务未回滚或状态残留

7.2 执行前先排除不可比较条件

“HTTPS、证书与安全响应头”开始前先确认下面四项；任一项不成立，都应先修复实验条件，而不是解释结果。

• 基线能够在“HTTPS、证书与安全响应头”的当前环境重复运行。
• 候选只改变一个与“HTTPS、证书与安全响应头”结论直接相关的条件。
• “HTTPS、证书与安全响应头”的基线和候选使用同一批输入、同一版本依赖与同一通过阈值。
• “HTTPS、证书与安全响应头”的原始输出和失败现场不会被重试、格式化或汇总覆盖。

7.3 执行后先核对证据完整性

结果出来后先检查证据，再讨论“HTTPS、证书与安全响应头”是否通过。缺少中间状态时，最终输出只能说明现象，不能证明机制。

检查项	当前文章的判定
输入可追溯	固定语言与依赖版本、请求参数、数据库初始状态和环境配置
过程可回放	运行最小程序或接口测试，覆盖正常输入、边界值和异常传播
结果可审计	退出码、响应状态、断言、数据库前后状态、异常栈和测试报告

“HTTPS、证书与安全响应头”的一次合格基线对照按以下顺序执行：

1. 保存“HTTPS、证书与安全响应头”基线版本及输入摘要，确认基线本身可以重复运行。
2. 写下“HTTPS、证书与安全响应头”候选方案唯一变化的变量，以及它预期影响的指标。
3. 在同一环境执行“HTTPS、证书与安全响应头”：运行最小程序或接口测试，覆盖正常输入、边界值和异常传播。
4. 为“HTTPS、证书与安全响应头”保存：退出码、响应状态、断言、数据库前后状态、异常栈和测试报告。
5. 使用“HTTPS、证书与安全响应头”预登记条件判断：输出满足契约，异常不会留下部分写入，结果可在干净环境复现。
6. 如果“HTTPS、证书与安全响应头”未通过，不修改第二个变量，先恢复基线并保留失败现场。

八、用一张矩阵验证 HTTPS、证书与安全响应头 的关键结论

矩阵按正文顺序列出“HTTPS、证书与安全响应头”的结论。一次实验只选择一行，只改变这一行对应的条件；不要把多行合并成一个无法归因的大实验。

正文章节	已解释的结论	本轮唯一变量	必须保存的证据
TLS 握手、证书链与主机名校验	客户端用 SNI 选择证书，验证证书有效期、主机名和从站点证书到可信根的完整链。	只改变与“TLS 握手、证书链与主机名校验”相关的条件	退出码、响应状态、断言、数据库前后状态、异常栈和测试报告
协议、密码套件与自动续期	先校验证书与私钥匹配、执行 nginx -t，	只改变与“协议、密码套件与自动续期”相关的条件	退出码、响应状态、断言、数据库前后状态、异常栈和测试报告
HSTS、CSP 与代理安全边界	includeSubDomains 或 preload 上线前必须确认所有子域支持 TLS。	只改变与“HSTS、CSP 与代理安全边界”相关的条件	退出码、响应状态、断言、数据库前后状态、异常栈和测试报告
TLS 与响应头配置	CSP 报告模式收集真实依赖后再切强制，避免一次配置阻断生产资源。	只改变与“TLS 与响应头配置”相关的条件	退出码、响应状态、断言、数据库前后状态、异常栈和测试报告
只部署叶子证书会让部分客户端握手失败	只部署叶子证书会让部分客户端握手失败；	只改变与“只部署叶子证书会让部分客户端握手失败”相关的条件	退出码、响应状态、断言、数据库前后状态、异常栈和测试报告
私钥必须限制权限并支持轮换	私钥必须限制权限并支持轮换，证书更新后还要 reload 才会进入新 worker。	只改变与“私钥必须限制权限并支持轮换”相关的条件	退出码、响应状态、断言、数据库前后状态、异常栈和测试报告

8.1 记录本次实际实验

下面的记录用于“HTTPS、证书与安全响应头”当前这一次实验，不是第二套知识目录。先从矩阵选择一个章节，再填写实际值；没有填写的字段表示尚未验证。

topic: "HTTPS、证书与安全响应头"
selected_chapter: required
claim_from_article: required
baseline_version: required
changed_condition: exactly_one
execution: "运行最小程序或接口测试，覆盖正常输入、边界值和异常传播"
evidence: "退出码、响应状态、断言、数据库前后状态、异常栈和测试报告"
pass_when: "输出满足契约，异常不会留下部分写入，结果可在干净环境复现"
stop_when: "依赖漂移、参数未校验、异常被吞、事务未回滚或状态残留"
observed_result: required
first_deviation: null_or_evidence
recovery_replay: required_after_failure

8.2 边界实验必须证明能够停止和恢复

成功路径只能证明“HTTPS、证书与安全响应头”在当前样本上工作，不能证明它可以进入生产。边界实验需要主动制造：依赖漂移、参数未校验、异常被吞、事务未回滚或状态残留，并观察系统是否在产生不可逆副作用前停止。

场景	只改变什么	应保存什么	通过标准
正常路径	使用已知有效输入	退出码、响应状态、断言、数据库前后状态、异常栈和测试报告	输出满足契约，异常不会留下部分写入，结果可在干净环境复现
边界路径	把一个输入推进到约束临界值	临界值前后的输出与指标	不静默降级，不把部分结果冒充成功
明确失败	注入：依赖漂移、参数未校验、异常被吞、事务未回滚或状态残留	原始错误、首个异常阶段和最终状态	失败被正确分类且没有扩大副作用
恢复重放	执行：从入口参数、调用栈、事务边界和外部依赖逐层缩小根因	原失败样本的复测证据	原样本恢复，正常样本没有回归

恢复动作不是简单重启。对于“HTTPS、证书与安全响应头”，第一步是：从入口参数、调用栈、事务边界和外部依赖逐层缩小根因。完成后使用原始失败样本复测；只验证一个新样本成功，不能证明触发条件已经消失。

“HTTPS、证书与安全响应头”边界实验结束后，应把正常、临界、失败和恢复四类记录放在同一个运行批次中。这样才能区分“候选方案真的修复问题”和“环境变化让问题暂时没有出现”。

九、HTTPS、证书与安全响应头 的结果解释

解释“HTTPS、证书与安全响应头”实验时先看首个偏差，而不是最后一条错误。最后的异常通常只是上游状态错误的结果；从末端反推容易误把症状当根因。

观察结果	可以支持的判断	下一步
主链路没有达到预期	依赖漂移、参数未校验、异常被吞、事务未回滚或状态残留	先执行：从入口参数、调用栈、事务边界和外部依赖逐层缩小根因
异常链路无法恢复	依赖漂移、参数未校验、异常被吞、事务未回滚或状态残留	先执行：从入口参数、调用栈、事务边界和外部依赖逐层缩小根因
新样本成功但原样本仍失败	修复没有覆盖原始触发条件	固定原失败输入，恢复基线后重新比较
指标改善但证据无法回链	数据、版本或中间状态没有固定	暂停发布，补齐可追溯记录后重跑

“HTTPS、证书与安全响应头”只有同时满足“输出满足契约，异常不会留下部分写入，结果可在干净环境复现”，并且没有出现“依赖漂移、参数未校验、异常被吞、事务未回滚或状态残留”，才可以认为主链路通过。这里的“通过”只对当前固定版本、样本和环境有效，不能外推到尚未测试的容量、权限或数据分布。

如果“HTTPS、证书与安全响应头”候选方案与基线差异很小，先检查证据分辨率是否足够；如果差异很大，先排除数据泄漏、环境漂移和版本不一致。两种情况都不能只看一个汇总均值，需要回到逐样本输出和中间状态。

“HTTPS、证书与安全响应头”故障定位完成后，记录“现象、首个偏差、根因、改动、原样本复测”五项。缺少原样本复测时，只能标记为待观察，不能标记为已解决。

十、HTTPS、证书与安全响应头 的发布判断

发布判断需要把“HTTPS、证书与安全响应头”的质量、失败边界和恢复能力放在同一份记录中。以下任一条件缺失，都应停止扩量，而不是用“基本正常”替代证据。

• “HTTPS、证书与安全响应头”的基线与候选只存在一个计划内变量。
• “HTTPS、证书与安全响应头”的输入、代码、依赖、配置和数据版本可以追溯。
• “HTTPS、证书与安全响应头”的正常、临界、失败和恢复样本使用同一套断言。
• “HTTPS、证书与安全响应头”的原始输出、中间状态和失败现场已经保留。
• “HTTPS、证书与安全响应头”的日志、Trace、截图和测试数据已经脱敏。
• “HTTPS、证书与安全响应头”的停止条件、负责人和回滚入口已经演练。
• “HTTPS、证书与安全响应头”尚未覆盖的输入、权限、容量和外部依赖已经登记。

最终记录至少包含基线版本、唯一变量、原始证据、首个偏差、恢复复测和发布责任人。没有参与本次修改的人如果不能据此重放“HTTPS、证书与安全响应头”的判断，就不能发布。

十一、总结

• TLS 握手、证书链与主机名校验：客户端用 SNI 选择证书，验证证书有效期、主机名和从站点证书到可信根的完整链。
• 协议、密码套件与自动续期：续期任务要在到期前运行，先校验证书与私钥匹配、执行 nginx -t，再原子替换和 reload；
• HSTS、CSP 与代理安全边界：HSTS 会让浏览器在有效期内强制 HTTPS，includeSubDomains 或 preload 上线前必须确认所有子域支持 TLS。
• TLS 与响应头配置：CSP 报告模式收集真实依赖后再切强制，避免一次配置阻断生产资源。